Хакерская группа n0n угрожает 38 компаниям морской отрасли публикацией украденных данных

Кибервымогательская группировка n0n разместила на своём даркнет-сайте данные 38 организаций из сферы морских перевозок и портовой логистики. Списки были опубликованы одним пакетом 12 октября и включают контейнерные терминалы, судоходные линии, IT-провайдеров портов и логистические компании из 18 стран.

Среди названных – операторы терминалов в Пусане BNCT и Pusan Newport Co (Южная Корея дала 12 из 38 записей), бразильские Santos Brasil, Portonave и Superterminais, сингапурский контейнерный перевозчик ONE, китайская CULines, тайваньская TS Lines, испанский TTI Algeciras и марокканский Eurogate Tanger. Ни одна из компаний на момент публикации не подтвердила факт утечки.

По данным компании SOCRadar, характер украденной информации указывает на единую точку входа – скорее всего, общую платформу обмена данными, а не 38 отдельных взломов. Образцы включают EDI-сообщения, манифесты контейнеров, расписания судов, записи о движении грузов через терминальные ворота и конфигурации портовых систем. Заявленные объёмы – от 60 МБ (корейская EUSU Logistics) до 2,4 ГБ (индонезийская ILCS Pelindo).

Картина напоминает массовые атаки через уязвимости в ПО для передачи файлов – как инциденты с MOVEit Transfer в 2023 году и Cleo в 2024-м. Однако прямых связей n0n с теми кампаниями не обнаружено.

Группировка выставила дедлайн публикации данных – 19 октября. Суммы выкупа варьируются от $2,4 млн до $14 млн в биткоинах, причём размер требований не коррелирует с объёмом данных: за 60 МБ у EUSU потребовали $14 млн, а за 2,4 ГБ у ILCS Pelindo – $2,4 млн. Некоторым жертвам предложено начать переговоры после оплаты 10% от суммы.

n0n появилась месяц назад и за это время включила в списки 21 компанию из телекома, ритейла, фармацевтики и образования. Морской пакет более чем вдвое увеличил число её предполагаемых жертв. Группировка позиционирует себя как вымогатели без шифрования: вместо классического ransomware она угрожает публикацией похищенных данных, хотя в её арсенале есть и инструменты для шифрования и блокировки восстановления.

Из 21 ранее заявленной жертвы 19 остаются на стадии «заявлено», одна – на стадии переговоров, и лишь у одной (Chibitek) произошла реальная утечка. Дата 19 октября станет первой серьёзной проверкой того, действительно ли n0n располагает заявленной информацией.

Главный риск для отрасли – цепная реакция. EDI-записи и манифесты содержат сведения о грузопотоках, бронированиях и коммерческих связях контрагентов. Если данные были получены через общую платформу, под угрозой оказываются не только 38 названных компаний, но и их партнёры по цепочке поставок. SOCRadar рекомендует всем, кто обменивается EDI с компаниями из списка, проверить свои интеграционные платформы, сменить учётные данные, включить многофакторную аутентификацию и подготовить план коммуникации с клиентами и регуляторами на случай утечки.